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Verfahren und Vorrichtung zum Uberwachen von Signal verarbei- 

tungseinheiten fur Sensoren 



Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zum Uberwachen von Signalverarbeitungseinheiten fur Senso- 
ren, die jeweils einzelne Prozeftf uhrungs- oder Prozeftmeftgro 
Ben eines Prozesses erfassen. 



Elektronische Stabilitatsprogramme sind f ahrdynamische Re- 
gelsysteme fur Fahrzeuge, die dazu dienen, den Fahrer in 
kritischen Fahrsituat ionen wahrend des Bremsens, Beschleuni- 
gens und Lenkens zu unterstiitzen und dort einzugreif en, wo 
der Fahrer selbst keine direkte Eingrif f smoglichkeit hat. 
Das Regelsystem unterstutzt den Fahrer beim Bremsen, insbe- 
sondere auf einer Fahrbahn mit niedrigem oder wechselndem 
Reibwert, auf der das Fahrzeug wegen blockierender Rader 
nicht mehr steuerbar sein oder ins Schleudern geraten konn- 
te, ferner beim Beschleunigen, wobei die Gefahr des Durch- 
drehens der Antriebsrader besteht, sowie schlieftlich beim 
Lenken in einer Kurve, in der das Fahrzeug uber- oder unter- 
steuern konnte. Insgesamt wird damit nicht nur der Komfort, 
sondern auch die aktive Sicherheit wesentlich verbessert. 
Einem solchen Regelsystem liegt ein geschlossener Regelkreis 
zugrunde, der im Normalbetrieb des Fahrzeugs typische Re- 
gelaufgaben ubernimmt und in extremen Fahrsituationen das 
Fahrzeug so schnell wie moglich abfangen soli. Als Istwert- 
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geber sind dabei Sensoren zur Erfassung der verschiedenen 
f ahrdynamischen Parameter von besonderer Bedeutung. Eine 
plausible Regelung setzt voraus, dass die Sensoren den 
Istzustand der Regelstrecke korrekt wiedergeben. Dies ist 
bei Fahrstabilitatsregelungen in extremen Fahrsituationen, 
in denen eine Regelabweichung schon innerhalb einer sehr 
kurzen Zeit ausgeregelt werden muft, besonders wichtig. Aus 
diesem Grunde mussen bei einem elektronischen Stabilitats- 
programm die Sensoren (Gierratensensor , Querbeschleunigungs- 
sensor, Lenkwinkelsensor ) standig uberwacht werden. Eine 
entsprechende Online-Sensoruberwachung hat den Zweck, Fehler 
in den Sensoren friihzeitig zu erkennen, damit eine Fehlrege- 
lung, die das Fahrzeug in einen sicherheitskrit ischen Zu- 
stand bringen konnte, ausgeschlossen wird. 

Die zur Zeit in Serie befindlichen ESP-Systeme verwenden ei- 
nen Mehrf achsensor (^Sensorcluster") zur Erfassung von Fahr- 
zeug-Drehrate sowie Quer- und ggf. Langsbeschleunigung . Die- 
ser Sensor ist im Fahrgastraum angeordnet und kommuniziert 
uber eine CAN-Schnittstelle mit dem ESP-Steuergerat (WO 
99/47889) 

Zukunftige Anwendungen (z.B. ESP-2 oder Active Front Stee- 
ring AFS) sehen vor, die Signale des Sensorclusters auch zur 
Beeinf lussung der Lenkung heranzuziehen . Da Lenkeingrif f e 
grundsatzlich hohere Risiken beinhalten als Bremseingr if f e , 
werden auch an die Zuverlassigkeit der Sensorik hohere An- 
forderungen gestellt. Es werden redundante Systeme benotigt, 
die selbstandig Fehlf unktionen erkennen und entsprechend re- 
agieren konnen . 
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Figur 1 zeigt einen bekannten Sensorcluster in redundanter 
Ausfuhrung. Drehraten 11, 12- und Beschleunigungssensor 1, 2 
sind daher doppelt vorhanden. Die Signalverarbeitung erfolgt 
in einem gemeinsam genutzten Chipsatz. Hierbei sind A/D- 
Wandler ADC 1, ADC 2 und Prozessorkern juCl , juC2 redundant 
ausgelegt, die Signalpfade 13, 14 (z.B. SPI-Schnittstelle 
zwischen den Wandlern und Prozessoren, Empf angsregister 
usw.) sind jedoch nur einmal vorhanden. Defekte Sensorele- 
mente konnen so erkannt werden, ebenso Fehler in der Pro- 
grammausf uhrung . 

Nachteilig ist jedoch, dass Fehler auf dem Obertragungsweg 
zwischen A/D-Wandler (ADC) und Prozessor nicht erkannt wer- 
den, ebenso wenig wie Fehler im A/D-Wandler selbst (z.B 
stuck bits), die in der Groftenordnung der zulassigen Signa- 
lungenauigkeit liegen . 

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfah- 
ren und eine Vorrichtung zur Oberwachung der Signalverarbei- 
tung von Sensoren der eingangs genannten Art zu schaffen, 
das/die eine insbesondere fur die Fahrstabilitatsregelung 
und/oder Komf ortregelung mit aktiven Lenkeingrif f en fur 
Fahrzeuge erf orderliche Zuverlassigkeit aufweist. 

Gelost wird diese Aufgabe gemali Anspruch 1 mit einem Verfah- 
ren der eingangs genannten Art, das sich auszeichnet durch 
eine mindestens redundante Verarbeitung der Sensordaten in 
zwei gleichen Signalverarbeitungseinheiten, die jeweils un- 
abhangig und getrennt voneinander uber mindestens zwei Auf- 
bereitungseinrichtungen in zwei Auswerteeinrichtungen aus- 
gewertet und plausibilisiert werden, wobei die Sensordaten 
uber getrennte Signalleitungen zwischen der jeweils einen 
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Aufbereitungseinrichtung und der jeweils einen Auswerteein- 
richtung ubertragen werden. 

Vorteilhaft ist, dass die in jeder Auswerteeinrichtung je- 
weils separat ausgewerteten und plausibilisierten Sensorda- 
ten uber eine Schnittstelle zwischen den Auswerteeinrichtun- 
gen ausgetauscht werden. Dabei werden von jeder Auswerteein- 
richtung unabhangig von der anderen die ausgewerteten und 
plausibilisierten Sensordaten und Zustandsinf ormationen der 
jeweiligen anderen Auswerteeinheit an ein ubergeordnetes 
Steuergerat des Fahrzeugs gesendet. 

Die Obertragung der ausgewerteten und plausibilisierten Sen- 
sordaten und Zustandsinf ormationen der jeweiligen anderen 
Auswerteeinheit erfolgt uber interne separate Signalleitun- 
gen zu jeweils einem Datenbus und zu dem Steuergerat des 
Fahrzeugs . 

Diese Aufgabe wird ferner gemafi Anspruch 5 mit einer Vor- 
richtung der eingangs genannten Art gelost, die sich aus- 
zeichnet durch mindestens zwei gleiche Signalverarbeitungs- 
einheiten zur redundanten Verarbeitung der Sensordaten, mit 
mindestens zwei Auf bereitungseinrichtungen und zwei Auswer- 
teeinrichtungen in denen die Sensordaten jeweils unabhangig 
und getrennt voneinander ausgewertet und plausibilisiert 
werden, wobei jeweils eine Aufbereitungseinrichtung mit der 
jeweils einen Auswerteeinrichtung uber getrennte Signallei- 
tungen verbunden sind und die Sensordaten zwischen der je- 
weils einen Aufbereitungseinrichtung und der jeweils einen 
Auswerteeinrichtung uber die jeweils separate Signalleitung 
ubertragen werden 
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Vorteilhafte Weiterbildungen der Erfindung sind. in den Un- 
teranspruchen angegeben . 

Durch die Erfindung ergeben sich die folgenden Vorteile: 

• Vollstandig redundanter Signalweg bis hin zur Signal- 
ausgabe. Samtliche im System auftretenden Fehler konnen 
erkannt werden. 

• Vermeidung von Komf orteinbuften durch vorzeitige System- 
aktivierung, bedingt durch Fehler, die noch im Rahmen 
des spezif izierten Bereiches liegen. 

• Eignung fur hochsensible Systeme mit sehr kleinen Re- 
gel schwellen . 

• Kostenersparnis durch Verwendung der gleichen Komponen- 
ten wie beim nicht redundanten Standard-Sensorcluster. 
Es sind keine Spezialbauteile (wie z.B. double core- 
Pro zessor en) notwendig . 

Ausf uhrungsbeispiele der Erfindung sind in den Zeichnungen 
dargestellt und werden im folgenden naher beschrieben. 

Es zeigen: 

Fig. 1 einen einfach redundanten Sensorcluster nach dem 

Stand der Technik 

Fig. 2 eine schematische Darstellung der Struktur eines 

ESP-Systems; 

Fig. 3 einen vollstandig redundanten Sensorcluster nach 
der Erfindung. 



PC10890 



- 6 - 



Der Vorgang des Autofahrens kann gemaft Figur 2 im regelungs- 
technischen Sinne als ein Regelkreis betrachtet werden, bei 
dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die Regel- 
strecke darstellt. Die Fuhrungsgroften sind dabei die person- 
lichen Fahrwunsche FW des Fahrers, die er durch eine fort- 
laufende Beobachtung des Straftenverkehrs erstellt. Die Ist- 
werte IF sind die Momentanwerte fur Fahrtrichtung und Ge- 
schwindigkeit , die der Fahrer liber seine Augen bzw. das 
Fahrgefuhl erfalit. Die StellgrofJen SF sind schlielblich der 
Lenkradwinkel, die Stellung des Getriebes sowie die Stellun- 
gen von Gas- und Bremspedal, die von dem Fahrer aufgrund der 
Abweichungen zwischen den Soli- und den Istwerten erstellt 
werden . 

Eine derartige Regelung wird haufig durch Storungen S wie 
Reibwertanderungen, Fahrbahnunebenheiten, Seitenwind oder 
andere Einflusse erschwert, da der Fahrer diese nicht prazi- 
se erfassen kann, jedoch bei der Regelung berucksichtigen 
muli. Aus diesem Grunde kann der Fahrer 1 zwar im allgemeinen 
die ihm ubertragenen Aufgaben, namlich den ProzeB des Auto- 
fahrens zu regeln und zu beobachten, in normalen Fahrzustan- 
den aufgrund seiner Ausbildung und der gesammelten Erfahrung 
ohne Schwierigkeiten bewaltigen. In Extremsituationen und / 
oder bei den genannten auftergewohnlichen Fahr zustanden, bei 
denen die physikalischen Reibkraf tgrenzen zwischen der Fahr- 
bahn und den Reifen iiberschritten werden, besteht jedoch die 
Gefahr, daft der Fahrer zu spat oder falsch reagiert und die 
Kontrolle uber sein Fahrzeug verliert. 

Urn auch diesen Fahrsituat ionen Rechnung tragen zu konnen, 
wird das f ahrdynamische Regelsystem mit einem unterlagerten 
Regelkreis (ESP) erganzt, der gemaft Figur 1 einen Regelalgo- 
rithmus 4, eine Systemuberwachung 5 und einen Fehlerspeicher 
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6 umfaftt. Gemessene Fahrzustandsgroften werden dabei der Sys- 
temuberwachung 5 und dem Regelalgorithmus 4 zugefuhrt. Die 
Systemuberwachung 5 erzeugt ggf. eine Fehlermeldung F, die 
dem Fehlerspeicher 6 und dem Regelalgorithmus 4 zugefuhrt 
wird. Der Regelalgorithmus 4 beaufschlagt dann in Abhangig- 
keit von den vom Fahrer 1 erzeugten Stellgrolien das Fahrzeug 
2. Mit diesem Regelkreis werden typische Regelauf gaben aus- 
gefuhrt. In extremen Fahrsituationen wird das Fahrzeug so 
schnell wie moglich wieder abgefangen. 

Figur 3 zeigt die Struktur eines solchen Regelkreises, der 
im wesentlichen ein Antiblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermomentregelung 12 umfalit. 
Das System kann urn eine nicht naher dargestellte Lenkwinkel- 
regelung erweitert sein, wie sie zum Beispiel in der 
WO2004/005093 beschrieben ist. Weiterhin sind Gierratensen- 
soren 13, Querbeschleunigungssensoren 14, ein Lenkwinkelsen- 
sor 15, ein Drucksensor 16 und vier Radgeschwindigkeit ssen- 
soren 17 vorgesehen, die sowohl als Istwertgeber zur Ermitt- 
lung der Regelabweichung, als auch zur Bildung eines Gierra- 
tensollwertes und verschiedener ZwischengroBen eingesetzt 
werden . 

Die von dem Fahrer 1 durch Betatigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten Prozefif uhrungsgroften 
werden der Antriebsschlupf regelung 11, dem Antiblockiersys- 
tem 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugefugt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf lusse usw. 
sind als Storungen oder unbekannte GrofJen 18 zusammengef aftt 
und beeinflussen die Fahr zeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fiihrungs- 
grofJen sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinfluJit und beaufschlagt die Radgeschwindigkeits- 
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sensoren 17, die Gierratensensoren 13, die Querbeschleuni- 
gungssensoren 14 sowie den Drucksensor 16. Eine Regelar- 
bitration 21, der die Ausgangssignale des Antiblockiersys- 
terns 10, der Antriebsschlupf regelung 11, der Giermomentrege- 
lung 12, der Lenkwinkelregelung und eines Bremseneingrif fs- 
algorithmus 22 zugefuhrt werden, dient zur Prioritatsvertei- 
lung dieser Signale im Hinblick auf ihr Einwirken auf die 
Motormanagementeinheit 20 oder direkt auf die Fahrdynamik 
19. Der Bremseneingrif fsalgorithmus 22 wird dabei von der 
Giermomentregelung 12 und dem Drucksensor 16 beauf schlagt . 
Schliefilich ist eine Fahr zustandserkennung 23 vorgesehen, 
der die Signale des Lenkwinkelsensors 15, der Gierratensen- 
soren 13, der Querbeschleunigungssensoren 14 sowie der Rad- 
geschwindigkeitssensoren 17 zugefuhrt werden und deren Aus- 
gangssignale die Giermomentregelung 12 sowie ein Einspurre- 
ferenzmodell 24, mit dem eine gewunschte Soll-Gierrate er- 
zeugt wird, oder die Lenkwinkelregelung beauf schlagt . 

In der Figur 4 ist der Sensorcluster 40 mit vollstandiger 
symmetr ischer Redundanz der Signalverarbeitungseinheiten 43, 
31 46 und 44, 32, 45 dargestellt. Der Sensorcluster 40 be- 
steht aus zwei identischen getrennten Pfaden zur Signalver- 
arbeitung. Drehraten 41, 42- und Beschleunigungssensor 21, 
22 sind doppelt vorhanden. Bevorzugt sind die Sensoren 41, 
42, 21, 22 und die Signalverarbeitungseinheiten 43, 31 46 
und 44, 32, 45 in einem gemeinsamen Gehause 62 angeordnet. 
Ihnen sind zwei Signal-Auf bereitungseinrichtungen 43, 44, 
wie analog-digital Signalwandler , zugeordnet, die das analo- 
ge Ausgangs signal der Sensoren in ein digitales Eingangssig- 
nal wandeln. Zur Signalverarbeitung werden zwei Auswerte- 
einrichtungen 31, 32, wie identische Microcontroller, digi- 
tale Signalprozessoren (DSP) oder programmierbare Logikbau- 
steine, insbesondere ASICs, eingesetzt. Die Sensordaten zwi- 
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schen der jeweils einen Auf bereitungseinrichtung ( 43, 44) und 
der jeweils einen Auswerteeinrichtung (31, 32) werden uber 
jeweils eine separate Signalleitung (60, 61) ubertragen. In 
den Auswerteeinrichtungen 31, 32 werden die nun digital vor- 
liegenden Signale digital verarbeitet. Ausgangsseitig der 
Auswerteeinrichtungen 31, 32 liegen die auswertebezogenen 
Sensorsignale an. Diese werden dem seriellen Fahrzeugkommu- 
nikationsbus 47 uber den in den Auswerteinrichtungen 31, 32 
ausgebildeten zwei CAN- Controller 45, 46 eingespeist . Die 
uber die jeweils separaten Leitungen 71, 7 2 mit integrierten 
CAN (Controller Area Network) verbundenen Auswerteeinrich- 
tungen 31, 32 ubernehmen dabei folgende Systemfunktionen: 

• Bereitstellung eines Treibersignals/Treiberspannung zur 
Anregung des elektrisch-mechanischen Wandlers des Dreh- 
ratensensoren 41,42 

• Aufnahme der Signale der Drehratensensoren 41, 42 mit 
spezifischen algorithmischen Verrechnungen und Filte- 
rung zur Gewinnung einer ZahlengroSe fur die Gierbewe- 
gung eines Fahrzeugs 

• Wandlung der ZahlengroSen der Gierbewegung eines Fahr- 
zeugs im CAN und Transfer auf den seriellen Bus 47. 



Diese Auswerteeinrichtungen 31, 
kannten Sensorcluster (zB. EP 1 
Bauteilen entsprechen, d.h. fur 
keine Spezialbauteile benotigt. 



32 konnen genau den im be- 
064 520 Bl) eingesetzten 
dieses System werden dann 



Die Ausgange der beiden Signalverarbeitungseinheiten 43, 31, 
46; 44, 32, 45 konnen im Sensorcluster 40 zusammengef uhrt 
oder in getrennten Leitungen 49, 50 an den Fahr zeugkommuni- 
kationsbus (hier CAN) angeschlossen werden. Bei einer Zusam- 
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menfuhrung im Sensorcluster bleibt die Schnittstelle kompa- 
tibel zu dem bestehenden System. 

Jede der Auswerteeinrichtungen 31, 32 hat Zugang zu samt li- 
chen Sensordaten und fuhrt unabhangig vom anderen eine Sig- 
nalverarbeitung und Plausibilitatsbeurteilung durch. Das Er- 
gebnis seiner Plausibilitatsbetrachtung und ggf. das ihrer 
Berechnungen teilt sie ihrem Partner durch eine geeignete 
Schnittstelle 48 mit . 

Daraufhin setzt jede Auswerteeinrichtungen 31, 32 unabhangig 
vom anderen eine Nachricht (hier CAN-Botschaf t ) an das (ESP- 
) Steuergerat ab. Diese Nachricht enthalt in codierter Form 
die eigenen Daten, den Status der eigenen Plausibilitatsbe- 
trachtung sowie den vom Partner signalisierten Zustand. 

Abhangig von den in den Nachrichten enthaltenen Statusflags 
entscheidet das Steuergerat, ob die Daten als gultig, als 
bedingt gultig oder als fehlerhaft zu beurteilen sind. Be- 
dingt gultige Daten konnen durch Vergleich mit anderen Gro- 
ften, z.B. mit den Radgeschwindigkeiten uber das Modell 

v — v j 

¥ m = 

bewertet und ggf. noch genutzt werden. S ist hierbei die 
Spurweite des Fahrzeugs, v vr ist die Radgeschwindigkeit vorne 
rechts, v v i ist die Radgeschwindigkeit vorne links. So kann 
z.B. bei Ausfall eines Gierratensignales wahrend einer ESP- 
Regelung vom Steuergerat anhand der vorhandenen Modelldaten 
das intakte Signal ident if iziert und zum Fortsetzen der Re- 
gelung verwendet werden. 
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Vom Aufwand her entspricht diese Losung zwei getrennten i- 
dentischen Sensorclustern. Sie hat jedoch den Vorteil, daft 
jeder Cluster auf die Sensorik des anderen zugreifen kann. 
Hierdurch stehen zusatzliche Inf ormationen zur Verfugung. 

Das hier am Beispiel Sensorcluster erlauterte Redundanzkon- 
zept lalit sich auf beliebige andere Sensorsysteme tibertra- 
gen. Daher sind folgende Variationen denkbar, die durch die 
Erfindung mitumfasst werden: 

• Einsatz von n>=2 Signalverarbeitungseinheiten 43, 31, 
46 die auf die Signale von beliebig vielen Sensoren 41, 
42, 21, 22 zugreifen, von denen ein Teil redundant vor- 
handen sein kann aber nicht muJJ. 

• Redundante Sensoren 41, 42 konnen doppelt oder mehrfach 
(>2) vorhanden sein. Mit drei oder mehr Sensoren kann 
bereits wahrend der Signalverarbeitung eine Entschei- 
dung getroffen werden, welcher Sensor fehlerhaft ist. 

• Sensoren 41, 42, 21, 22 und die Signalverarbeitungsein- 
heiten 43, 31, 46; 44, 32, 45 mussen sich nicht im sel- 
ben Gehause 62 befinden. 

• Der Anschluft 63-70 der Sensoren an die Signalverarbei- 
tungseinheiten kann analog oder digital erfolgen. 

• Der Anschluft der Signalverarbeitungseinheiten 43, 31, 
46; 44, 32, 45 an das ubergeordnete Steuergerat kann 
analog oder digital erfolgen. 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
tauschen Statusinf ormationen, Rechenergebnisse oder gar 
keine Inf ormationen aus . 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
konnen zu bestimmten Zeiten unterschiedliche Aufgaben 
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wahrnehmen (z.B. in der Initialisierungsphase oder bei 
Eigendiagnose) . 
• Nicht jede Signalverarbeitungseinheit 43, 31, 46; 44, 
32, 45 mull alle Sensorsignale auswerten, es sind auch 
teilweise redundante Systeme moglich. 

Fur den Fall, dass ein ubergeordnetes System nicht akzepta- 
bel ist, bietet sich als vorteilhafte Ausf uhrungsf orm an, 
nur eine Signalverarbeitungseinheit 43, 31, 46; 44, 32, 45 
aktiv kommunizieren zu lassen. Die andere (n) bleiben zu- 
nachst passiv im Hintergrund, fuhren jedoch trozdem die 
Plausibilisierung mit zugehoriger interner Kommunikat ion 
durch. Nur wenn dort eine Diskrepanz festgestellt wurde, le- 
gen die passiven Signalverarbeitungseinheiten Veto ein und 
melden sich aktiv bei dem ubergeordneten System. Praktisch 
realisiert konnte dies so aussehen: 

Signalverarbeitungseinheit 43, 31, 46 und 44, 32, 45 sind 
identisch, aber haben eine Software, welche uber einen Pin 
codiert zwei Betriebsarten ermoglicht. 

Signalverarbeitungseinheit 43, 31, 46 arbeitet als Master 
(Codierung 1) und sendet das Ergebnis ihrer Auswertung am 
CAN 

Signalverarbeitungseinheit 44, 32, 45 arbeitet als Slave 
(Codierung 0) und vergleicht das uber CAN empfangene Er- 
gebnis des Masters mit ihren eigenen Berechnungen . Uber- 
einstimmung bzw Abweichung teilt sie dem Master mit und 
schickt ggf. eine CAN-Botschaf t mit gesetztem Fehlerflag 
ans System. 

Die Kommunikation kann z.B. liber zwei Leitungen MATCH, 
MATCH_N erfolgen, die in jeder Software-Loop gegensinnig 
toggeln und bei Fehler beide auf 1 oder beide auf 0 gehen. 
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Signalverarbeitungseinheit 43, 31, 46 erkennt durch o.g. 
Ruckmeldung, dass Signalverarbeitungseinheit 44, 32, 45 
vorhanden ist und arbeitet. 

Signalverarbeitungseinheit 44, 32, 45 erkennt durch Emp- 
fang der CAN-Botschaf ten, dass Signalverarbeitungseinheit 
43, 31, 46 vorhanden ist und arbeitet. 
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Patentanspruche : 

1. Verfahren zum Oberwachen von Signalverarbeitungseinhei- 
ten fur Sensoren, die jeweils einzelne Prozeftf uhrungs- 
oder Prozeftmeftgrolien eines Prozesses erfassen, gekenn- 
zeichnet durch eine mindestens redundante Verarbeitung 
der Sensordaten in zwei gleichen Signalverarbeitungsein- 
heiten (43, 31, 46 und 44, 32, 45), die jeweils unabhan- 
gig und getrennt voneinander iiber mindestens zwei Aufbe- 
reitungseinrichtungen (43, 44) in zwei Auswerteeinrich- 
tungen ( 31,32) ausgewertet und plausibilisiert werden, 
wobei die Sensordaten iiber getrennte Signalleitungen 
(60, 61) zwischen der jeweils einen Auf bereitungsein- 
richtung (43, 44) und der jeweils einen Auswerteeinrich- 
tung (31, 32) ubertragen werden. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass 
die in jeder Auswerteeinrichtung (31, 32) jeweils separat 
ausgewerteten und plausibilisierten Sensordaten uber ei- 
ne Schnittstelle zwischen den Auswerteeinrichtungen (31, 
32) ausgetauscht werden. 

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich- 
net, dass von jeder Auswerteeinrichtung (31, 32) unab- 
hangig von der anderen die ausgewerteten und plausibili- 
sierten Sensordaten und Zustandsinf ormationen der jewei- 
ligen anderen Auswerteeinheit an ein ubergeordnetes 
Steuergerat des Fahrzeugs gesendet werden. 
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4. Verfahren nach einem der Anspruche 1 bis 3, dadurch ge- 
kennzeichnet, dass die ausgewerteten und plausibilisier- 
ten Sensordaten und Zustandsinf ormationen der jeweiligen 
anderen Auswerteeinheit (31, 32) uber interne separate 
Signalleitungen (49, 50) uber jeweils einem Datenbus(47) 
zu dem Steuergerat des Fahrzeugs ubertragen werden. 

5. Vorrichtung zum Oberwachen von Signalverarbeitungsein- 
heiten fur Senscren, die jeweils einzelne Prozeftfuh- 
rungs- oder Prozefimefigrolien eines Prozesses erfassen, 
gekennzeichnet durch mindestens zwei gleiche Signalver- 
arbeitungseinheiten (43, 31, 46; 44, 32, 45 ) zur redun- 
danten Verarbeitung der Sensordaten, mit mindestens zwei 
Auf bereitungseinrichtungen (43, 44) und zwei Auswerte- 
einrichtungen (31, 32) in denen die Sensordaten jeweils 
unabhangig und getrennt voneinander ausgewertet und 
plausibilisiert werden, wobei jeweils eine Aufberei- 
tungseinrichtung ( 43, 44) mit der jeweils einen Auswer- 
teeinrichtung (31, 32) uber getrennte Signalleitungen 
(60, 62) verbunden sind und die Sensordaten zwischen der 
jeweils einen Auf bereitungseinrichtung ( 4 3 , 44) und der 
jeweils einen Auswerteeinrichtung (31, 32) uber die je- 
weils separate Signalleitung (60, 61) ubertragen werden. 

6. Vorrichtung nach Anspruch 5, dadurch gekennzeichnet:, 

dass die in jeder Auswerteeinrichtung (31, 32) jeweils 
separat ausgewerteten und plausibilisierten Sensordaten 
uber eine Schnitt stelle zwischen den Auswerteeinrichtun- 
gen (31, 32) ausgetauscht werden 

7. Vorrichtung nach Anspruch 5 oder 6, dadurch gekennzeich- 
net, dass jede Auswerteeinrichtung (31, 32) unabhangig 
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von der anderen die ausgewerteten und plausibilisierten 
Sensordaten und Zustandsinf ormationen der jeweiligen an- 
deren Auswerteeinheit an ein Fahr zeug-Steuergerat sen- 
det . 

8. Vorrichtung nach einem der Anspruche 5 bis 7, dadurch 
gekennzeichnet, dass jede Auswerteeinheit (31, 32) uber 
eine interne separate Signalleitung (71 f 72) mit einem 
Datenbus(45, 46) verbunden ist und die ausgewerteten und 
plausibilisierten Sensordaten und Zustandsinf ormationen 
der jeweiligen anderen Auswerteeinheit (31, 32) uber den 
jeweils einen Datenbus(45, 46) zu dem Fahrzeug- 
Steuergerat ubertragen werden 
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Zusammenf as sung 

Verfahren und eine Vorrichtung zum Uberwachen von Signalver- 
arbeitungseinheiten fur Sensoren 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zum Oberwachen von Signalverarbeitungseinheiten fur Senso- 
ren, die jeweils einzelne ProzefJf iihrungs- oder Prozeftmeftgro- 
Ben eines Prozesses erfassen. Zur Verbesserung der Zuverlas- 
sigkeit der Sensordaten eines Fahrzeugs erfolgt eine mindes- 
tens redundante Verarbeitung der Sensordaten in zwei glei- 
chen Signalverarbeitungseinheiten (43, 31, 46; 44, 32, 45), 
die jeweils unabhangig und getrennt voneinander iiber mindes- 
tens zwei Auf bereitungseinrichtungen (43, 44) in zwei Aus- 
werteeinrichtungen (31, 32) verfugen, wobei die Sensordaten 
uber getrennte Signalleitungen (60, 61) zwischen der jeweils 
einen Auf bereitungseinrichtung ( 43, 44) und der zugehorigen 
Auswerteeinrichtung (31,32) ubertragen werden. 



